Sur une VM Compute Engine utilisant Cloud SQL Proxy et le compte de service de la VM, quel rôle IAM offre le moindre privilège tout en permettant à la VM de se connecter à Cloud SQL ?

Le rôle Client Cloud SQL (Cloud SQL Client) est le rôle IAM le plus restrictif qui permet à une instance Compute Engine de se connecter à Cloud SQL via le Cloud SQL Proxy. Il fournit les autorisations nécessaires (comme cloudsql.instances.connect) pour établir une connexion sans accorder de privilèges excessifs sur la base de données ou d'autres ressources Cloud SQL. Les rôles Éditeur de projet (Project Editor) et Propriétaire de projet (Project Owner) accordent des autorisations très larges sur l'ensemble du projet, ce qui va bien au-delà du principe du moindre privilège pour la simple connexion à Cloud SQL. Le rôle Éditeur Cloud SQL (Cloud SQL Editor) permet de modifier les instances Cloud SQL, ce qui est également un privilège trop élevé si l'objectif est uniquement de se connecter.